Hər şeyi bir hosta yönləndirmək, yoxsa portu da yenidən yazmaq?

Hər şeyi VPN serverinizə yönləndirmək iki çox fərqli qaydanı təsvir edə bilər. Biri təyinat ünvanını dəyişir və daxil olan portu saxlayır; digəri portu da tək bir dinləyiciyə yenidən yazır. Məruz qalma eyni deyil və qərar routerin interfeysinin istifadə etdiyi etiketdən deyil, üç şərtdən asılıdır.

Birinci şərt: qayda hansı sahələri dəyişir?

Təyinat ünvanının tərcüməsi və təyinat portunun tərcüməsi ayrı əməliyyatlardır. Qayda yalnız birincisini və ya ikisini birlikdə yerinə yetirə bilər və fərq hədəf hostdakı hansı xidmətlərin əlçatan olduğunu müəyyən edir. Əksər satıcı interfeysləri bu seçimi tək bir etiketin arxasında gizlədir. Əsas qaydayı oxumaq hansını aldığınızı bilməyin yeganə yoludur.

Menyu etiketini deyil, faktiki qaydayı oxuyun. DMZ və ya bütün portlar yazan ekran niyyəti təsvir edir, paket yolunu deyil. Netfilter NAT sənədləri iki tərcüməni ayırır və qarşınızdakı router istehlakçı cihazı olsa belə, bu düzgün zehni modeldir.

İki sahə, iki fərqli sual.

İkinci şərt: saxlanılan portlarda nə dinləyir?

Qayda daxil olan portu saxlayırsa, hər gələn port VPN hostunda həmin nömrəyə çatdırılır, həmin hostun giriş siyasətinə tabedir. Bura dinlədiyini unutduğunuz xidmətlər də daxildir. Qayda o xidmətləri yaratmadı və indi onlara gedən yol məhz odur.

Qayda portu yenidən yazırsa, əksi olur: çoxlu xarici port tək dinləyiciyə yığılır və hostdakı başqa heç nə o qayda ilə əlçatan deyil. Sabit portlu yenidən yazma, geniş xarici port diapazonu ona uyğun gəldiyi üçün hər yerli xidmətə girişə çevrilmir. İki dizayn fərqli istiqamətlərdə sıradan çıxır və seçdiyiniz şey uğursuzluq rejimidir. Uğursuzluğu ilə yaşaya biləcəyinizi seçin.

Seçim etməzdən əvvəl dinləyicini siyahıya alın.

Üçüncü şərt: xarici giriş nə qədər genişdir?

Bir seçilmiş portu yayımlamaq diapazon yayımlamaqdan daha dardır və hər ikisi hər şeyi qəbul etməkdən dardır. Xarici genişlik və daxili tərcümə müstəqil seçimlərdir və qarışıqlığın çoxu birini dəyişib digərini təsvir etməkdən gəlir.

Adi VPN girişi üçün dizaynın həqiqətən ehtiyac duyduğu nəqliyyatı və dinləyicini yayımlayın. Sonra daha üç şeyi nəzərdən keçirin: routerin effektiv xəritələməsi, hədəf hostun öz giriş qaydaları və IPv6 dinləyicisinin eyni xidməti yayımlayıb-yayımlamadığı. Bir ünvan ailəsində dar görünən qayda digərində geniş ola bilər.

Tərcümə olunmuş son nöqtəni tam yazın: protokol, xarici port, daxili ünvan, daxili port.

Heç bir qaydanın sizə vermədiyi şey

Heç bir dizayn xidmətin zəifliklərdən azad olduğunu sübut etmir və heç biri əlçatanlığı qorumur. Autentifikasiya, yeniləmələr və bərpa port xəritələnməsinin nə qədər dar olmasından asılı olmayaraq qüvvədə qalır. Dar xəritələmə əlçatan səthi azaldır; dinləyicini təhlükəsiz etmir.

Artıq başqa qanuni xidməti dəstəkləyən geniş qayda sadəcə səhv deyil, asılılıqdır. Onu siyahıya alın və silməzdən əvvəl sahibi vasitəsilə əvəz edin, əks halda dəyişiklik təhlükəsizlik düzəlişinin yaratdığı kəsinti kimi görünəcək. Eyni ehtiyat başqa bir şeyin səssizcə güvəndiyi sabit portlu yenidən yazma üçün də keçərlidir.

Məruz qalma təhlili nəyin nəyə çata biləcəyi ilə bağlıdır, ekrandakı etiketlə deyil.

Tərcümə olunmuş son nöqtə əlinizdə qərar verin

Qaydanın nəticəsini cümlə kimi yazın: açıq UDP portu X, Y ünvanının Z portuna çatır. Sonra soruşun: Y-də hansı xidmətlər Z-də cavab verə bilər və onlar kimə aiddir.

nft list ruleset

Cavab nəzərdə tutduğunuz tək dinləyicidirsə, qayda öz işini görür.

Cavab bir neçədirsə, interfeys bunu belə adlandırsın ya yox, siz host genişində yönləndirmə seçmisiniz.